Hvem har egentlig tilgang? Slik reviderer dere WordPress-brukerne
En fast tilgangsrevisjon reduserer risikoen for misbrukte kontoer, tidligere ansatte med tilgang og unødvendig mange administratorer i WordPress.
Kategori: Nettsikkerhet
Et bedriftsnettsted kan være oppdatert, overvåket og sikkerhetskopiert, men fortsatt ha en alvorlig svakhet: for mange mennesker har for mye tilgang. Gamle brukerkontoer, delte administratorbrukere og eksterne leverandører som aldri ble fjernet, er vanlige resultater av en nettside som har vært i drift noen år.
Problemet løses ikke bare med sterke passord. Virksomheten trenger en fast rutine for å kontrollere hvem som har tilgang, hvorfor de har den, og om tilgangsnivået fortsatt er riktig. En kvartalsvis tilgangsrevisjon er et konkret sted å begynne.
Tilgang er en del av angrepsflaten
Hver brukerkonto representerer en mulig vei inn i nettstedet. Risikoen øker når kontoen har administratorrettigheter, mangler tofaktorautentisering eller tilhører en person som ikke lenger arbeider med nettsiden.
En angriper trenger ikke finne en teknisk sårbarhet dersom det er mulig å overta en gyldig konto. Stjålne passord, gjenbrukte påloggingsopplysninger og tilgang til en tidligere ansatts e-postkonto kan være nok. Derfor må brukeradministrasjon behandles på samme måte som oppdateringer, backup og overvåking: som en løpende driftsoppgave med tydelig ansvar.
Tilgangsrevisjonen bør ikke begrenses til brukerlisten i WordPress. Den må også omfatte webhotell, domeneadministrasjon, analyseverktøy, skytjenester, sikkerhetsløsninger, kodearkiv og andre systemer som kan påvirke nettstedet.
Start med en fullstendig tilgangsoversikt
Det første steget er å finne alle stedene der en person eller tjeneste kan få administrativ tilgang. For et vanlig bedriftsnettsted kan oversikten blant annet inneholde:
- Brukerkontoer i WordPress
- Administrasjon hos drifts- eller hostingleverandør
- Tilgang til domene og DNS
- Filoverføring, database og kommandolinje
- Kodearkiv og publiseringsløsninger
- Analyse-, skjema- og markedsføringsverktøy
- Sikkerhetskopier og overvåkingssystemer
- API-nøkler, integrasjoner og tekniske tjenestekontoer
Lag en enkel oversikt med navn, system, tilgangsnivå, begrunnelse, eier og dato for siste kontroll. For tekniske kontoer bør det stå hvilken integrasjon som bruker kontoen, og hvem som er ansvarlig for den.
Hvis ingen kan forklare hvorfor en tilgang finnes, skal den ikke automatisk videreføres. Undersøk først om kontoen fortsatt er i bruk, og fjern eller sperr den dersom behovet ikke kan bekreftes.
Skill mellom personlige kontoer og tjenestekontoer
Alle som arbeider i WordPress, bør ha en personlig konto. Delte kontoer som «admin», «redaksjon» eller «byrå» gjør det vanskelig å vite hvem som utførte en endring. De skaper også praktiske problemer når én person slutter: Passordet må byttes og distribueres på nytt til alle andre.
Personlige kontoer gir bedre sporbarhet og enklere avvikling. Aktivitetslogger blir mer nyttige fordi endringer kan knyttes til riktig bruker. Det blir også mulig å fjerne én persons tilgang uten å påvirke resten av teamet.
Tjenestekontoer kan være nødvendige for integrasjoner og automatiserte oppgaver. De skal ikke brukes av mennesker i det daglige. Gi dem bare rettighetene som oppgaven krever, dokumenter formålet og oppbevar hemmeligheter i en egnet løsning. En API-nøkkel bør behandles som en tilgang, ikke som en tilfeldig teknisk innstilling.
Reduser antallet administratorer
Administratorrollen i WordPress gir omfattende kontroll. En administrator kan installere utvidelser, endre brukere, redigere innhold og påvirke nettstedets tekniske oppsett. Rollen bør derfor være forbeholdt personer som faktisk trenger denne myndigheten.
En redaktør som publiserer artikler, trenger vanligvis ikke å installere utvidelser. En innholdsprodusent trenger kanskje bare å opprette og redigere egne innlegg. En ekstern rådgiver som skal gjennomføre en avgrenset kontroll, trenger ikke nødvendigvis permanent administratortilgang.
Bruk prinsippet om minste nødvendige tilgang:
- Beskriv oppgaven personen skal utføre.
- Velg det laveste tilgangsnivået som gjør oppgaven mulig.
- Sett sluttdato dersom behovet er midlertidig.
- Utvid tilgangen bare når et konkret behov oppstår.
- Fjern utvidelsen når oppgaven er avsluttet.
Det er bedre å håndtere et begrunnet ønske om mer tilgang enn å la alle beholde administratorrollen for sikkerhets skyld.
Gjør tofaktorautentisering til et krav
Et sterkt og unikt passord er nødvendig, men ikke alltid tilstrekkelig. Tofaktorautentisering legger til en ekstra kontroll ved innlogging og reduserer risikoen dersom passordet blir kjent for andre.
Kravet bør som minimum gjelde administratorer, redaktører, leverandører og personer med tilgang til hosting, domene eller sikkerhetskopier. For et bedriftsnettsted er det ofte enklere å gjøre kravet generelt enn å vedlikeholde mange unntak.
Innføringen må også ta høyde for tap av telefon eller autentiseringsenhet. Reservekoder skal oppbevares kontrollert, og prosessen for å gjenopprette tilgang må være kjent. Hvis brukerstøtten kan slå av tofaktorautentisering uten å kontrollere identiteten grundig, flyttes svakheten bare til gjenopprettingsprosessen.
Kontroller eksterne leverandører særskilt
Webbyråer, utviklere, konsulenter og markedsføringspartnere trenger ofte tilgang i avgrensede perioder. Slike tilganger blir likevel lett stående etter at prosjektet er ferdig eller kontaktpersonen har byttet jobb.
Leverandørtilgang bør knyttes til navngitte personer, ikke til en generell firmakonto. Avtalen bør avklare hvem som godkjenner nye brukere, hvordan tofaktorautentisering håndteres, og hvor raskt tilgangen skal fjernes når samarbeidet avsluttes.
Be leverandøren bekrefte den aktuelle brukerlisten under hver revisjon. Virksomheten bør samtidig kontrollere dette i systemene, ikke bare basere seg på en e-postbekreftelse. Midlertidig tilgang bør ha en tydelig sluttdato eller stå på en liste over kontoer som skal vurderes etter avsluttet oppdrag.
Koble HR-rutiner og nettsidedrift
Mange utdaterte tilganger oppstår fordi informasjon om rollebytte og avsluttet arbeidsforhold ikke når den som forvalter nettsiden. Avvikling av digitale tilganger må derfor være en del av virksomhetens rutine når noen slutter eller bytter stilling.
En enkel sjekkliste bør dekke WordPress, hosting, domene, e-post, passordhvelv, analyseverktøy, kodearkiv og relevante tredjepartstjenester. Tilgangen bør fjernes på et avtalt tidspunkt, ikke når noen senere oppdager at kontoen fortsatt finnes.
Ved rollebytte er det ikke alltid riktig å slette brukeren. Det kan holde å redusere tilgangsnivået. Innhold og historikk bør overføres kontrollert, slik at viktige sider ikke mister ansvarlig eier.
Se etter tegn på misbruk før kontoen fjernes
En ukjent eller uventet administrator skal ikke bare slettes uten videre. Kontoen kan være et tegn på at noen allerede har fått uautorisert tilgang. Kontroller derfor når brukeren ble opprettet, hvem som opprettet den, siste innlogging og relevante endringer.
Se også etter nye administratorer, endrede e-postadresser, installerte utvidelser, endringer i filer og uventede innlogginger. Hvis noe ikke kan forklares, bør det håndteres som et mulig sikkerhetsavvik. Bevar nødvendig informasjon før dere gjør større endringer som kan fjerne spor.
Aktivitetslogging er nyttig her, men bare dersom loggene faktisk oppbevares, gjennomgås og beskyttes mot endring. Avklar hvilke hendelser som skal utløse varsling, for eksempel opprettelse av en administrator eller endring av sikkerhetsinnstillinger.
Gjennomfør revisjonen som en fast arbeidsøkt
En tilgangsrevisjon trenger ikke bli et stort prosjekt. For et oversiktlig bedriftsnettsted kan den organiseres som en fast arbeidsøkt hvert kvartal:
- Eksporter eller gjennomgå aktive brukere i alle relevante systemer.
- Bekreft arbeidsforhold, leverandørtilknytning og faktisk behov.
- Kontroller roller, administratorrettigheter og midlertidige tilganger.
- Bekreft at tofaktorautentisering er aktivert der det kreves.
- Undersøk kontoer som er ukjente, inaktive eller mangler tydelig eier.
- Fjern, sperr eller reduser tilganger som ikke kan forsvares.
- Dokumenter hvem som godkjente resultatet og hvilke avvik som gjenstår.
Revisjonen bør ha én ansvarlig eier, men involvere både nettsideansvarlig, teknisk leverandør og personer med ansvar for ansatte og leverandøravtaler. Ingen av dem sitter nødvendigvis med hele bildet alene.
Mål om tilgangen faktisk er under kontroll
En gjennomført kontroll er ikke nødvendigvis en god kontroll. Følg heller noen enkle styringspunkter: antall administratorer, kontoer uten navngitt eier, brukere uten tofaktorautentisering, midlertidige tilganger uten sluttdato og kontoer som tilhører tidligere ansatte eller leverandører.
Målet er ikke å få flest mulig kontoer fjernet. Målet er at hver tilgang skal være nødvendig, personlig, sporbar og riktig sikret. Når virksomheten kan forklare hvem som har tilgang, hvorfor de har den, og hvordan den fjernes, er en viktig del av nettsikkerheten gjort håndterbar.
